Как общий Artifactory-кэш стал скрытым каналом между аккаунтами ChatGPT

Песочница может блокировать прямые сетевые соединения и всё равно не обеспечивать изоляцию пользователей — если все её экземпляры имеют доступ к одному внутреннему сервису, в котором можно изменять общие данные. Именно такую проблему описала Check Point Research в отчёте, опубликованном 8 сентября 2026 года. По данным исследователей и СМИ, канал был закрыт после раскрытия информации. 56

В чём была проблема: метаданные пакетов стали «почтовым ящиком»

Контейнеры выполнения кода ChatGPT должны были быть изолированы друг от друга и от публичного интернета. Однако, как сообщила Check Point, они имели доступ к общему внутреннему экземпляру JFrog Artifactory — сервису доставки и кэширования пакетов. 6

Сам по себе доступ к Artifactory не был бы достаточен для атаки. Проблема заключалась в том, что API управления объектами, по данным исследователей, позволял контейнерам читать и менять изменяемые метаданные кэшированных объектов. В результате появлялось общее состояние, доступное сессиям разных аккаунтов:

1. сессия злоумышленника записывала в метаданные инструкцию или данные;
2. среда выполнения кода жертвы читала эти сведения во время обработки собственного диалога;
3. сессия жертвы записывала результат в то же общее место;
4. сессия злоумышленника забирала этот результат.

Фактически сервис пакетов превращался в двусторонний «общий буфер обмена» — скрытый канал для передачи команд и результатов между аккаунтами, которые должны были быть разделены. 619

Как инъекция инструкций превращала канал в утечку данных

Один лишь общий сервис не давал доступа к подключённым приложениям жертвы. Для продемонстрированной атаки требовалось внедрить инструкции злоумышленника в контекст её ChatGPT: например, через вредоносный запрос, общую беседу или скрытые инструкции в пользовательском GPT. 46

Оказавшись в контексте, такая инструкция могла заставить сессию жертвы параллельно с видимой задачей выполнить ещё одну, скрытую. Принципиально важно, что действие выполнялось с уже имеющимся у сессии жертвы доступом к инструментам, подключённым приложениям и данным, а не с правами атакующего аккаунта. 6

В демонстрации Check Point сессия жертвы получила сведения из подключённого Gmail, передала их через канал Artifactory и сделала доступными второму аккаунту. При этом пользователь видел обычный ответ на свой запрос; по описанию исследователей и публикаций, он не видел ни внедрённой инструкции, ни переданных данных. 36

Как сообщалось, единственным заметным признаком обращения к Gmail была небольшая пометка «Talked to Gmail» («Обращался к Gmail»). Это сигнал аудита уже совершённого действия, а не само по себе подтверждение того, что пользователь получил отдельное детальное согласование на конкретное чтение или передачу данных. 3

Что сделала OpenAI

Исследователи сообщили об этом канале OpenAI в конце июня. В публикациях по итогам раскрытия говорилось, что затронутый сервис Artifactory к тому моменту уже был выведен из эксплуатации, а проблема устранена. 5

Речь идёт о proof of concept — демонстрации осуществимости атаки в исследовательских условиях. Описанное не следует трактовать как доказательство массового использования этой схемы против обычных пользователей. 56

Чем это отличается от предыдущей находки с DNS

Ранее Check Point описывала другую слабость среды выполнения кода ChatGPT: скрытый исходящий путь из изолированной среды в публичный интернет. В связанном с этой работой описании фигурировал DNS как способ передачи данных наружу. 1516

Механика у двух случаев различалась:

Находка	Канал связи	Последствие для безопасности
Предыдущая проблема с исходящим каналом	Путь из среды выполнения в публичный интернет	Конфиденциальные данные могли быть отправлены за пределы среды. 1516
Скрытый канал через Artifactory	Общее изменяемое состояние во внутреннем пакетном сервисе	Разные аккаунты могли обмениваться командами и результатами вопреки заявленной изоляции песочницы. 6

Общий вывод: блокировка прямого интернета — лишь один из защитных рубежей. Система, на которую могут влиять недоверенные инструкции, способна использовать любой доступный механизм передачи информации — как наружу, так и между арендаторами платформы.

Связь с инцидентом Hugging Face

Описанный Check Point канал через Artifactory — не тот же самый инцидент, который затронул агентов OpenAI и Hugging Face. Однако публикации связывали эти события более широким контекстом: инфраструктура, связанная с Artifactory, оказалась доступным сервисом внутри ограниченных сред. 5

В техническом отчёте OpenAI об инциденте среди мер защиты названы блокировка уязвимых путей Artifactory и ограничение типов задействованных исследовательских нагрузок. 22 Не стоит объединять эти истории в один эксплойт, но обе они подчёркивают риск считать общий репозиторий пакетов безобидной технической деталью.

Главный урок: изолировать нужно и зависимости

Граница песочницы настолько надёжна, насколько надёжны сервисы, доступные из неё. Если несколько арендаторов могут читать или изменять одни и те же кэш, реестр, очередь, хранилище метаданных, DNS-сервис либо endpoint с общими учётными данными, такая зависимость может стать скрытым каналом.

Для ИИ-систем, которые обрабатывают недоверенные инструкции и могут вызывать подключённые инструменты, важны несколько принципов:

• Разделять все ресурсы с возможностью записи по арендаторам. Среда одного аккаунта не должна записывать состояние, которое способна прочитать среда другого.
• Применять принцип наименьших привилегий к сервисным идентификаторам. Задача загрузки пакетов не должна автоматически получать широкие права управления метаданными.
• Считать внутренние сервисы полноценной сетевой границей. «Внутренний» не означает безопасный, если к сервису имеют доступ недоверенные нагрузки.
• Отделять авторизацию инструментов от инструкций в диалоге. Чувствительные действия в подключённых приложениях должны иметь ясные и проверяемые границы авторизации.
• Делать значимые действия наблюдаемыми. Журналы и уведомления для пользователя должны показывать само действие инструмента и его релевантный масштаб, а не только факт обращения к приложению.

Таким образом, демонстрация Check Point важна не только из-за одного пакетного кэша. Её ключевой принцип шире: изоляция должна охватывать пути передачи данных и общее состояние, а не ограничиваться запретом прямых сетевых соединений. 615